Overzichtsgids

De grondslag voor onderzoek onder de AVG: toestemming, algemeen belang en de waarborgen van artikel 89

De keuze van de grondslag is de eerste privacybeslissing in elk onderzoeksproject, en de beslissing die het vaakst wordt verward met onderzoeksethiek. Deze gids legt uit hoe toestemming onder de AVG verschilt van ethische geïnformeerde toestemming, wanneer universiteiten en hogescholen de taak van algemeen belang (artikel 6, lid 1, sub e) gebruiken, hoe artikel 9, lid 2, sub j en artikel 89 werken voor bijzondere persoonsgegevens, hoe nationale wetten in acht Europese landen de open plekken invullen, en wat dit betekent voor hergebruik, gegevens van sociale media, opnames en AI-tools. Hij sluit af met een beslistabel en een checklist.

Gepubliceerd 9 oktober 2026 · Bronnen geraadpleegd 9 oktober 2026

Ook beschikbaar in: English · Svenska · Norsk · Suomi · Dansk · Français · Español · Português

In het kort

Inhoud

  1. Waarom de grondslag in onderzoek zo belangrijk is
  2. Toestemming onder de AVG is geen ethische geïnformeerde toestemming
  3. De grondslagen uit artikel 6 voor onderzoek
  4. Algemeen belang en nationaal recht: acht landen
  5. Wat universiteiten in de praktijk doen
  6. Bijzondere persoonsgegevens en artikel 9, lid 2, sub j
  7. De waarborgen van artikel 89, lid 1
  8. Afwijkingen van de rechten van betrokkenen
  9. Verdere verwerking en hergebruik
  10. Brede en dynamische toestemming
  11. Sociale media, opnames, transcripties en AI-tools
  12. Wat in de privacyverklaring hoort
  13. Beslistabel
  14. Veranderingen om te volgen
  15. Checklist
  16. Bronnen
  17. Over deze pagina

1. Waarom is de grondslag in onderzoek zo belangrijk?

De grondslag bepaalt welke rechten deelnemers hebben, wat er gebeurt als iemand zich terugtrekt, of gegevens in latere projecten mogen worden hergebruikt en wat er in de privacyverklaring moet staan. Hij moet worden gekozen voordat de verwerking begint en kan later niet zomaar worden verwisseld. In onderzoek wordt de keuze lastiger doordat ethische regels het woord "toestemming" ook gebruiken, maar voor iets anders.

Artikel 6, lid 1, AVG noemt zes grondslagen; vier daarvan zijn relevant voor onderzoek: toestemming (a), wettelijke verplichting (c), taak van algemeen belang (e) en gerechtvaardigd belang (f). Bijzondere persoonsgegevens hebben daarnaast een uitzondering uit artikel 9, lid 2, nodig. Beide keuzes vallen binnen de onderzoeksregels van de AVG: artikel 5, lid 1, sub b over verdere verwerking, artikel 5, lid 1, sub e over opslag en artikel 89 over waarborgen en afwijkingen.

Volgens overweging 159 moet de verwerking van persoonsgegevens met het oog op wetenschappelijk onderzoek "ruim worden opgevat". De EDPB is voorzichtiger. In zijn richtsnoeren over toestemming staat dat het begrip "may not be stretched beyond its common meaning" (niet verder mag worden opgerekt dan de gangbare betekenis), met een verwijzing naar onderzoek dat is opgezet volgens methodologische en ethische normen van de sector (Richtsnoeren 05/2020, randnummer 153). De conceptrichtsnoeren over onderzoek uit 2026 voegen zes indicatieve factoren toe, te beginnen met een "methodical and systematic approach" (methodische en systematische aanpak) en "adherence to ethical standards" (naleving van ethische normen).

2. Wat is het verschil tussen toestemming onder de AVG en ethische geïnformeerde toestemming?

Ethische geïnformeerde toestemming beschermt de waardigheid en integriteit van een persoon: niemand mag aan onderzoek meedoen zonder het te weten en ermee in te stemmen. Toestemming onder de AVG is een van de zes grondslagen voor de verwerking van persoonsgegevens, met strikte voorwaarden: vrij gegeven, specifiek, geïnformeerd, ondubbelzinnig en intrekbaar. Een studie kan het eerste vereisen zonder het tweede als grondslag te gebruiken.

De Europese instanties zijn op dit punt consequent:

Nationale toezichthouders zeggen hetzelfde. De Franse CNIL adviseert om, als toestemming onder de AVG wordt gebruikt, op het formulier twee aparte vakjes op te nemen, "l'une pour recueillir le consentement RGPD, l'autre pour participer à la recherche" (één voor toestemming onder de AVG, het andere voor deelname aan het onderzoek), en merkt op dat voor onderzoek op grond van het algemeen belang nog steeds instemming van deelnemers met deelname nodig kan zijn (CNIL). De Britse Health Research Authority vat het in één zin samen: "Consent to participation in research is not the same as consent as the legal basis for processing under data protection legislation" (toestemming voor deelname aan onderzoek is niet hetzelfde als toestemming als grondslag voor verwerking onder de privacywetgeving) (HRA).

Eén bron neigt de andere kant op. De notitie "Ethics and data protection" van de Commissie voor Horizon Europe (5 juli 2021) vraagt om een toestemmingsprocedure die aan de normen van de AVG voldoet wanneer gegevens rechtstreeks worden verzameld. Ze is geschreven door een panel van deskundigen en vermeldt dat ze "does not constitute official EU guidance" (geen officiële richtlijn van de EU is) (Commissie).

Validemics analyse Ethische commissies en FG's praten vaak langs elkaar heen omdat beide "toestemming" zeggen. Een eenvoudige oplossing is verschillende woorden te gebruiken in sjablonen: "instemming met deelname" voor de ethische eis, en "toestemming voor de verwerking van gegevens" alleen waar artikel 6, lid 1, sub a werkelijk de grondslag is.

3. Welke grondslagen uit artikel 6 kan onderzoek gebruiken?

Onderzoek kan berusten op toestemming, een taak van algemeen belang, het gerechtvaardigd belang en, voor beperkte onderdelen, een wettelijke verplichting. De keuze hangt vooral af van wie de verwerkingsverantwoordelijke is. In de richtlijnen die we lazen, gebruiken publieke universiteiten meestal de taak van algemeen belang; private organisaties zonder wettelijke onderzoekstaak gebruiken het gerechtvaardigd belang of toestemming.

GrondslagWanneer past hij bij onderzoekBelangrijkste gevolgen
Toestemming, art. 6, lid 1, sub aGoed afgebakende studies waarbij mensen rechtstreeks worden benaderd en vrij nee kunnen zeggen; sommige biobank- en cohortstudies (brede toestemming).Moet specifiek en vastgelegd zijn. Intrekken kan altijd; volgens de EDPB is er "no exemption to this requirement for scientific research" (geen uitzondering op dit vereiste voor wetenschappelijk onderzoek) (05/2020, randnummer 163). Het recht op gegevensoverdraagbaarheid is van toepassing.
Taak van algemeen belang, art. 6, lid 1, sub eOnderzoek door publieke universiteiten en andere organisaties waarvan de onderzoekstaak in de wet is vastgelegd. De EDPB noemt het "a legal basis of particular importance for scientific research" (een grondslag van bijzonder belang voor wetenschappelijk onderzoek) (concept 1/2026, randnummer 56).Moet zijn vastgelegd in Unierecht of lidstatelijk recht (art. 6, lid 3). Het recht van bezwaar geldt, maar art. 21, lid 6, beperkt het voor onderzoek in het algemeen belang. Ethische instemming met deelname kan nog steeds worden gevraagd.
Gerechtvaardigd belang, art. 6, lid 1, sub fPrivate onderzoeksinstituten, bedrijven, stichtingen. Niet beschikbaar voor overheidsinstanties "in het kader van de uitoefening van hun taken" (art. 6, lid 1, laatste alinea).Vereist een vastgelegde belangenafweging. Zie ons sjabloon voor een belangenafweging (Engels).
Wettelijke verplichting, art. 6, lid 1, sub cBeperkte onderdelen van de verwerking die de wet voorschrijft, bijvoorbeeld veiligheidsrapportages bij klinische proeven.Dekt alleen wat de wet voorschrijft.

De conceptrichtsnoeren 1/2026 merken ook op dat de taak van algemeen belang "is not limited to public entities" (niet beperkt is tot publieke organisaties): private organisaties kunnen hem gebruiken "if the legal act covers their activities" (als de wettelijke regeling hun activiteiten dekt) (randnummer 58). Of een bepaalde universiteit een "overheidsinstantie" is, hangt ook af van het nationale recht. Dat is in sommige landen van belang voor private universiteiten.

4. Hoe ondersteunt nationaal recht onderzoek op grond van het algemeen belang? Acht landen

Artikel 6, lid 3, eist dat de taak van algemeen belang is vastgelegd in Unierecht of lidstatelijk recht. Die wet hoeft niet elk project te beschrijven. Volgens het EDPB-concept kan ze onderzoek toestaan "without necessarily specifying how the research is to be undertaken" (zonder noodzakelijk te bepalen hoe het onderzoek moet worden uitgevoerd) (randnummer 57). In de praktijk verwijzen universiteiten naar hun wet op het hoger onderwijs, en verschillende landen hebben onderzoeksbepalingen in hun uitvoeringswet bij de AVG. De tabel vat de bepalingen samen die we op 9 oktober 2026 lazen.

LandBepalingWat ze betekent voor onderzoek
ZwedenHögskolelag (1992:1434) hfst. 1 art. 2; Dataskyddslag (2018:218) hfst. 2 art. 2; Etikprövningslag (2003:460) art. 6De wet op het hoger onderwijs geeft universiteiten een onderzoekstaak (in het EDPB-concept genoemd als voorbeeld voor art. 6, lid 1, sub e). De Zweedse uitvoeringswet staat verwerking op grond van art. 6, lid 1, sub e toe voor taken van algemeen belang die uit de wet volgen. Onderzoek met gevoelige gegevens vereist een ethische goedkeuring die de verwerking dekt (genoemd als voorbeeld voor art. 9, lid 2, sub j).
NoorwegenPersonopplysningsloven art. 8, 9 en 10Artikel 8 staat verwerking op grond van art. 6, lid 1, sub e toe als dat noodzakelijk is voor onderzoek, met waarborgen uit art. 89, lid 1. Artikel 9 staat bijzondere persoonsgegevens zonder toestemming toe als "samfunnets interesse i at behandlingen finner sted, klart overstiger ulempene for den enkelte" (het maatschappelijk belang van de verwerking duidelijk zwaarder weegt dan de nadelen voor de betrokkene), na raadpleging van de FG tenzij een DPIA is uitgevoerd. Artikel 10 laat de plicht om de FG te raadplegen ook gelden voor onderzoek met bijzondere persoonsgegevens op basis van toestemming.
FinlandTietosuojalaki (1050/2018) art. 4, 6 en 31Artikel 4, lid 3, staat verwerking op grond van art. 6, lid 1, sub e toe als die "tarpeen tieteellistä tai historiallista tutkimusta taikka tilastointia varten" (nodig voor wetenschappelijk of historisch onderzoek of statistiek) is en evenredig met het doel van algemeen belang. Artikel 6, lid 1, punt 7, heft het verbod van art. 9, lid 1, op voor onderzoek, met maatregelen uit art. 6, lid 2, zoals pseudonimisering. Artikel 31 staat afwijkingen van de artikelen 15, 16, 18 en 21 toe als er een onderzoeksplan en een aangewezen verantwoordelijke persoon of groep is, en de gegevens alleen voor onderzoek worden gebruikt.
DenemarkenDatabeskyttelsesloven (LBK 289/2024) art. 10 en 22, lid 5Artikel 10, lid 1, staat verwerking van bijzondere en strafrechtelijke persoonsgegevens toe als dat uitsluitend gebeurt om "statistiske eller videnskabelige undersøgelser af væsentlig samfundsmæssig betydning" (statistische of wetenschappelijke studies van aanzienlijk maatschappelijk belang) uit te voeren en daarvoor noodzakelijk is. De gegevens mogen later alleen voor onderzoek of statistiek worden gebruikt (art. 10, lid 2). Voor sommige verstrekkingen is vooraf toestemming van het Datatilsynet nodig (art. 10, lid 3). Artikel 22, lid 5, sluit de artikelen 15, 16, 18 en 21 uit als gegevens uitsluitend voor onderzoek of statistiek worden verwerkt.
NederlandUitvoeringswet AVG (UAVG) art. 24 en 44Artikel 24 heft het verbod op bijzondere persoonsgegevens voor onderzoek alleen op als het onderzoek een algemeen belang dient, de verwerking noodzakelijk is, "het vragen van uitdrukkelijke toestemming onmogelijk blijkt of een onevenredige inspanning kost", en er waarborgen zijn voor de persoonlijke levenssfeer. Artikel 44 laat instellingen en diensten voor wetenschappelijk onderzoek of statistiek de artikelen 15, 16 en 18 buiten toepassing laten als de gegevens alleen voor onderzoek of statistiek kunnen worden gebruikt.
FrankrijkLoi Informatique et Libertés art. 44, punt 6; Code de la recherche art. R322-2Volgens de CNIL geldt de taak van algemeen belang "en premier lieu" (in de eerste plaats) voor overheidsinstanties en publieke organisaties, en verwacht zij voor anderen het gerechtvaardigd belang. Gevoelige gegevens in publiek onderzoek buiten de gezondheidszorg mogen worden verwerkt, na een advies van de CNIL op grond van art. 44, punt 6, als dat nodig is voor publiek onderzoek en gerechtvaardigd door een zwaarwegend algemeen belang (CNIL, 4 februari 2026). Voor gezondheidsonderzoek gelden aparte regels. Het EDPB-concept noemt Code de la recherche art. R322-2 als voorbeeld voor art. 6, lid 1, sub e.
SpanjeLOPDGDD (LO 3/2018), zeventiende aanvullende bepalingVoor gezondheidsonderzoek kan toestemming "áreas generales vinculadas a una especialidad médica o investigadora" (algemene terreinen die verband houden met een medisch of onderzoeksspecialisme) omvatten. Hergebruik voor verwante terreinen is rechtmatig na publicatie van informatie en met een positief advies van een ethische commissie. Gepseudonimiseerde gegevens mogen worden gebruikt met technische en functionele scheiding van wie de sleutels voor heridentificatie beheert.
PortugalLei 58/2019, art. 31Verwerking voor onderzoek moet het beginsel van minimale gegevensverwerking respecteren en anonimisering of pseudonimisering gebruiken waar het doel dat toelaat. De rechten uit de artikelen 15, 16, 18 en 21 worden beperkt voor zover nodig. Toestemming voor onderzoek "pode abranger diversas áreas de investigação" (kan verschillende onderzoeksterreinen omvatten), altijd met inachtneming van erkende ethische normen.

Twee buurlanden buiten de tabel: in Ierland vertelt Trinity College Dublin onderzoekers dat "explicit consent is required for any health research in Ireland" (uitdrukkelijke toestemming vereist is voor elk gezondheidsonderzoek in Ierland), in lijn met de nationale regels voor gezondheidsonderzoek. In het Verenigd Koninkrijk heeft de UK GDPR dezelfde opbouw, en de HRA stelt dat overheidsinstanties die onderzoek doen "will use 'task in the public interest' as their legal basis" (de taak van algemeen belang als grondslag zullen gebruiken).

Deze samenvattingen zijn selectief. Nationale wetten kennen verdere voorwaarden en sectorregels (gezondheid, registers, biobanken), en sommige veranderen vaak: de Finse wet is in mei 2026 gewijzigd (380/2026). Lees de volledige bepaling en overleg met uw FG voordat u erop vertrouwt.

5. Welke grondslag gebruiken Europese universiteiten in de praktijk?

De meeste richtlijnen van universiteiten die we lazen, maken de taak van algemeen belang de standaard voor onderzoek en houden toestemming als ethische eis. De details verschillen per land, vooral voor bijzondere persoonsgegevens. In hun eigen woorden:

InstellingWat ze zeggenStandpunt
Sikt (Noorwegen, nationale dienst voor onderzoeksdata)"There has been a tradition in Norway for using consent as the legal basis when processing personal data in research." (In Noorwegen is het traditie om toestemming als grondslag te gebruiken bij de verwerking van persoonsgegevens in onderzoek.) Ook: "In many projects, public interest will be a more appropriate basis for processing." (In veel projecten is het algemeen belang een geschiktere grondslag.)Toestemming of algemeen belang; registeronderzoek, internetonderzoek en documentonderzoek meestal algemeen belang.
Universiteit van Bergen (Noorwegen)"Consent to participation, however, is not the same as consent constituting the legal basis for processing personal data" (toestemming voor deelname is echter niet hetzelfde als toestemming als grondslag voor de verwerking van persoonsgegevens)Als hoofdregel art. 6, lid 1, sub e, met art. 8 van de Noorse personopplysningsloven; art. 9 voor bijzondere persoonsgegevens.
Stockholm University (Zweden)Het algemeen belang op grond van art. 6.1 e is "den vanligaste rättsliga grunden" (de meest gebruikte grondslag), op basis van de wettelijke taak uit de wet op het hoger onderwijs.Art. 6, lid 1, sub e.
Lund University (Zweden), sjabloon voor deelnemersinformatie"Personal data are processed on the lawful ground of public interest." (Persoonsgegevens worden verwerkt op grond van het algemeen belang.)Art. 6, lid 1, sub e in het standaardsjabloon.
Universiteit van Helsinki (Finland), FAQ van de ondersteuning voor onderzoeksdataOver de grondslag en het vragen van toestemming om aan een studie deel te nemen: "These are two independent issues and typically confused with each other." (Dit zijn twee losstaande kwesties die vaak met elkaar worden verward.)Algemeen belang veel gebruikt; in privacyverklaringen van projecten is "task carried out in the public interest" aangevinkt.
Aarhus University (Denemarken)"As the data controller, AU must decide which basis for processing to apply in the individual project." (Als verwerkingsverantwoordelijke moet AU per project beslissen welke grondslag van toepassing is.)Art. 6, lid 1, sub e, of art. 9, lid 2, sub j met art. 10, lid 1, van de Deense databeskyttelseslov; toestemming (art. 6, lid 1, sub a en art. 9, lid 2, sub a) als alternatief.
Universiteit Utrecht (Nederland), faculteit Sociale WetenschappenDe faculteit "uses “public interest” as the primary legal basis for processing personal data in research." (gebruikt het algemeen belang als primaire grondslag voor de verwerking van persoonsgegevens in onderzoek). Voor bijzondere persoonsgegevens: "Processing these variables as personal data still requires explicit consent." (Voor de verwerking van deze variabelen als persoonsgegevens is nog steeds uitdrukkelijke toestemming nodig.)Algemeen belang, met uitdrukkelijke toestemming voor bijzondere persoonsgegevens (in lijn met art. 24 UAVG).
KU Leuven (België), document met ethische casussen"KU Leuven neemt als uitgangspunt dat universitair onderzoek doorgaans wordt gevoerd in het algemeen belang."Algemeen belang; voor het AVG-deel volstaat het informeren van deelnemers, ethische toestemming blijft nodig.
Trinity College Dublin (Ierland)"In advance of any data collection, Researchers must inform participants of the legal basis under GDPR." (Voordat er gegevens worden verzameld, moeten onderzoekers deelnemers informeren over de grondslag onder de AVG.)Art. 6, lid 1, sub e op grond van de Universities Act 1997; art. 9, lid 2, sub j; uitdrukkelijke toestemming voor gezondheidsonderzoek.
University of Edinburgh (VK)Onderzoekers hebben ethische toestemming nodig, maar "you will not need to obtain consent for processing, sharing or storing the research data" (u hoeft geen toestemming te vragen voor het verwerken, delen of opslaan van de onderzoeksgegevens).In de meeste gevallen "public task"; art. 9, lid 2, sub j met waarborgen uit art. 89, lid 1, voor bijzondere persoonsgegevens.
University of Essex (VK)"'research ethics consent' does not translate to 'consent' as a legal basis for processing personal data." (ethische toestemming voor onderzoek staat niet gelijk aan toestemming als grondslag voor de verwerking van persoonsgegevens.)Taak van algemeen belang; art. 9, lid 2, sub j voor bijzondere persoonsgegevens.
Universidad de Granada (Spanje), verwerkingsregisterNoemt art. 6.1 e, "misión realizada en interés público" (taak van algemeen belang), naast art. 6.1 a en art. 9.2 j.Algemeen belang of toestemming per studie; art. 9, lid 2, sub j voor bijzondere persoonsgegevens.

De privacyverklaring van Edinburgh voor deelnemers maakt het onderscheid ook voor deelnemers zichtbaar: toestemming voor het gebruik van persoonsgegevens "(which we rarely request) is separate from your ethical consent to participate" ((waar we zelden om vragen) staat los van uw ethische toestemming om deel te nemen) (Edinburgh).

Validemics analyse Het patroon is duidelijk in de Noordse landen, België, Ierland en het Verenigd Koninkrijk. Nederland is de belangrijkste uitzondering voor bijzondere persoonsgegevens, omdat artikel 24 UAVG uitdrukkelijke toestemming als uitgangspunt neemt. Spaanse en Deense universiteiten noemen vaak beide grondslagen en laten het project beslissen. Wat ze allemaal gemeen hebben, is de instructie om per project te beslissen en deelnemers te informeren.

Beoordeelt u op dit moment een leverancier? Validemic toetst de documenten van de leverancier aan de AVG en de AI-verordening, met een bron bij elke bevinding. Probeer de demo-omgeving

6. Welke uitzondering uit artikel 9 geldt voor bijzondere persoonsgegevens in onderzoek?

Bijzondere persoonsgegevens hebben naast de grondslag uit artikel 6 een uitzondering uit artikel 9, lid 2, nodig. Voor onderzoek zijn de realistische opties uitdrukkelijke toestemming (sub a), de onderzoeksuitzondering (sub j), gegevens die kennelijk door de betrokkene openbaar zijn gemaakt (sub e), en zwaarwegend algemeen belang of volksgezondheid (sub g en i) waar nationaal recht of Unierecht daarin voorziet.

Artikel 9, lid 2, sub j is van toepassing als "de verwerking is noodzakelijk met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden overeenkomstig artikel 89, lid 1, op grond van Unierecht of lidstatelijk recht". Dat recht moet evenredig zijn, de wezenlijke inhoud van het recht op bescherming van persoonsgegevens eerbiedigen en voorzien in "passende en specifieke maatregelen". Het EDPB-concept voegt toe dat verwerkingsverantwoordelijken moeten kunnen aantonen dat het recht op hun verwerking van toepassing is en dat ze aan de voorwaarden voldoen (randnummer 74). Het noemt onder meer het Deense art. 10, het Finse art. 6, lid 1, punt 7, het Franse art. 44, punt 6, het Duitse BDSG § 27, lid 1, en de Zweedse wet op de ethische toetsing als voorbeelden, met de kanttekening dat "The EDPB has not reviewed nor analysed the laws referred to" (de EDPB de genoemde wetten niet heeft beoordeeld of geanalyseerd).

Artikel 9, lid 4, laat lidstaten bijkomende voorwaarden stellen voor genetische, biometrische en gezondheidsgegevens. Een studie in meerdere landen kan dus in het ene land uitdrukkelijke toestemming nodig hebben en in het andere niet. Voor klinische proeven noemt EDPB Advies 3/2019 de taak van algemeen belang met artikel 9, lid 2, sub i of j, of het gerechtvaardigd belang met artikel 9, lid 2, sub j, als alternatieven voor toestemming.

7. Welke waarborgen eist artikel 89, lid 1?

Artikel 89, lid 1, eist passende waarborgen voor verwerking voor onderzoek, met technische en organisatorische maatregelen "om de inachtneming van het beginsel van minimale gegevensverwerking te garanderen". Pseudonimisering wordt genoemd als mogelijke maatregel. Als de doeleinden kunnen worden verwezenlijkt met gegevens die de identificatie van betrokkenen niet of niet langer toelaten, "moeten zij aldus worden verwezenlijkt".

De richtsnoeren van de EDPB over toestemming zeggen: "Anonymisation is the preferred solution as soon as the purpose of the research can be achieved without the processing of personal data" (anonimisering heeft de voorkeur zodra het doel van het onderzoek kan worden bereikt zonder persoonsgegevens te verwerken) (randnummer 160). Het concept uit 2026 voegt een lijst met verdere waarborgen toe: onafhankelijk of ethisch toezicht, beveiligde verwerkingsomgevingen, privacyverhogende technologieën, beschermende maatregelen bij publicatie en voorwaarden voor verder gebruik. Het EDPB-antwoord uit 2021 legt ook het verband: het vermoeden van verenigbaarheid voor verder onderzoek "can only be used" (kan alleen worden gebruikt) als de waarborgen van artikel 89, lid 1, worden nageleefd (randnummer 20).

In de praktijk letten FG's en ethische commissies op deze waarborgen:

  1. Een datamanagementplan dat elk gegevenselement onderbouwt.
  2. Pseudonimisering op het vroegst haalbare moment, met de sleutel apart bewaard en beperkte toegang.
  3. Anonimisering voor delen en publiceren waar mogelijk.
  4. Veilige opslag op goedgekeurde diensten van de instelling; zie onze gids over onderzoeksdata in cloudopslag (Engels).
  5. Een overeenkomst op grond van artikel 28 met elke leverancier en, buiten de EER, een doorgifte-instrument. Onze gidsen over overeenkomsten voor het delen van gegevens en regelingen voor gezamenlijke verwerkingsverantwoordelijken (Engels) behandelen samenwerkingspartners.
  6. Een DPIA bij een hoog risico (volgens de Universiteit van Bergen eist de Noorse toezichthouder er een voor onderzoek met bijzondere persoonsgegevens dat niet op toestemming berust). Onze DPIA-voortoets en ons DPIA-sjabloon (Engels) helpen daarbij.
  7. Bewaarregels die vermelden hoe lang identificeerbare gegevens worden bewaard; zie onze gids over bewaarschema's (Engels).

8. Welke rechten van betrokkenen kunnen voor onderzoek worden beperkt?

De AVG beperkt zelf enkele rechten voor onderzoek, en artikel 89, lid 2, laat Unierecht of nationaal recht afwijkingen toevoegen van het recht op inzage, rectificatie, beperking en bezwaar (art. 15, 16, 18 en 21), maar alleen voor zover die rechten de verwezenlijking van de doeleinden "onmogelijk dreigen te maken of ernstig dreigen te belemmeren" en de afwijking noodzakelijk is.

Onze gids over inzageverzoeken in het hoger onderwijs (Engels) beschrijft hoe u verzoeken in de praktijk afhandelt.

9. Mogen onderzoeksgegevens worden hergebruikt? Verdere verwerking en secundair gebruik

Ja, vaak wel. Volgens artikel 5, lid 1, sub b wordt verdere verwerking voor wetenschappelijk onderzoek "overeenkomstig artikel 89, lid 1, niet als onverenigbaar met de oorspronkelijke doeleinden beschouwd". Overweging 50 zegt dat zulke verwerking "moet als een met de aanvankelijke doeleinden verenigbare rechtmatige verwerking worden beschouwd". Maar verenigbaarheid is niet het hele antwoord: de verwerkingsverantwoordelijke heeft nog steeds een grondslag nodig en, voor bijzondere persoonsgegevens, een uitzondering uit artikel 9.

Volgens het EDPB-concept 1/2026 is de verenigbaarheidstoets van artikel 6, lid 4, niet nodig voor verder onderzoek (randnummer 19), maar de toets op rechtmatigheid blijft, en terugvallen op de oorspronkelijke grondslag is niet altijd mogelijk, vooral niet als dat toestemming was (randnummers 21 en 22). Het EDPB-antwoord uit 2021 voegt toe dat een ziekenhuis dat voor behandeling artikel 9, lid 2, sub h gebruikt, mogelijk een andere uitzondering uit artikel 9 nodig heeft om de dossiers voor onderzoek te gebruiken.

Veelvoorkomende situaties van secundair gebruik aan universiteiten:

Vanaf 2029 voegt de verordening betreffende de Europese ruimte voor gezondheidsgegevens, Verordening (EU) 2025/327, een aparte route toe voor secundair gebruik van elektronische gezondheidsgegevens via toegangsorganen voor gezondheidsgegevens. Hoofdstuk IV over secundair gebruik is van toepassing vanaf 26 maart 2029 (EHDS-verordening).

10. Is brede toestemming toegestaan onder de AVG?

Ja, binnen grenzen. Volgens overweging 33 moet betrokkenen worden toegestaan "hun toestemming te geven voor bepaalde terreinen van het wetenschappelijk onderzoek waarbij erkende ethische normen voor wetenschappelijk onderzoek in acht worden genomen". De EDPB leest dit beperkt: de overweging "does not disapply the obligations with regard to the requirement of specific consent" (doet niets af aan de verplichtingen rond het vereiste van specifieke toestemming), en de AVG "cannot be interpreted to allow for a controller to navigate around the key principle of specifying purposes" (kan niet zo worden uitgelegd dat een verwerkingsverantwoordelijke het kernbeginsel van doelbepaling mag omzeilen) (05/2020, randnummers 156 en 158). Voor bijzondere persoonsgegevens krijgt die flexibiliteit "a high degree of scrutiny" (een streng toezicht) (randnummer 157).

Het concept uit 2026 beschrijft twee modellen. Brede toestemming dekt toekomstige projecten binnen een afgebakend onderzoeksterrein, en "it is not sufficient to only state that personal data will be used for scientific research purposes" (het is niet voldoende alleen te vermelden dat persoonsgegevens voor wetenschappelijk onderzoek zullen worden gebruikt) (randnummer 44). Dynamische toestemming vraagt mensen opnieuw zodra elk project bekend wordt, wat de EDPB "often the appropriate way" (vaak de geschikte manier) noemt bij langlopende studies met regelmatig contact (randnummer 52). Als waarborgen voor brede toestemming stelt het onder meer een onafhankelijke databeheerder (data trustee), toestemming voor beperkte tijd en onafhankelijk toezicht voor (randnummers 48 en 49).

Spanje (voor gezondheidsonderzoek) en Portugal hebben brede toestemming in hun nationale wet opgenomen. Validemics analyse Waar het nationale recht het toelaat, voorkomt de combinatie van instemming met deelname en de taak van algemeen belang als AVG-grondslag de problemen rond intrekking en specificiteit die brede toestemming met zich meebrengt.

11. Gegevens van sociale media, opnames, transcripties en AI-tools

Gegevens van sociale media

Openbare berichten zijn nog steeds persoonsgegevens. Een universiteit heeft een grondslag nodig (voor een publieke universiteit meestal de taak van algemeen belang), en bijzondere persoonsgegevens in berichten vallen alleen onder artikel 9, lid 2, sub e als ze "kennelijk door de betrokkene openbaar zijn gemaakt". Volgens het EDPB-concept moeten verwerkingsverantwoordelijken nagaan of inhoud is geplaatst "following an active choice by the data subject" (na een actieve keuze van de betrokkene) en de instellingen van het platform bekijken (randnummer 70). Een foto die een vriend plaatste, telt niet (randnummer 71). In het uitgewerkte voorbeeld worden de verzamelde berichten gepseudonimiseerd en worden gebruikers geïnformeerd op grond van artikel 14.

De ethiekrichtlijn van de Commissie voegt toe dat "It is not enough that the data be accessible" (het niet genoeg is dat de gegevens toegankelijk zijn) en vraagt onderzoekers de voorwaarden van het platform te controleren. Sikt noemt internetonderzoek als typisch geval voor het algemeen belang.

Opnames en transcripties van interviews

Een audio- of video-opname identificeert de spreker, en de inhoud van interviews bevat vaak bijzondere persoonsgegevens (gezondheid, religie, politieke opvattingen) over de deelnemer of over derden. De grondslag is dezelfde als voor de studie, maar de ethiekrichtlijn van de Commissie vraagt om een specifieke toestemmingsprocedure voor "intrusive methods such as behavioural profiling, audio/video recording or geo-location tracking" (ingrijpende methoden zoals gedragsprofilering, audio- en video-opnames of het volgen van locatiegegevens). Sikt merkt op dat toestemming kan worden vastgelegd "on a sound recording" (op een geluidsopname).

Validemics analyse Praktische punten:

AI-tools in onderzoek

Interviewgegevens uploaden naar een generatieve AI-tool is een verwerking. Daarvoor is de grondslag van de studie nodig, het moet passen bij wat deelnemers is verteld, en de aanbieder wordt verwerker (of verwerkingsverantwoordelijke, als hij de gegevens voor eigen doeleinden gebruikt). Controleer gebruik voor training, de locatie van de verwerking en of er voor de licentie van de instelling een verwerkersovereenkomst is. Onze gids over de AVG en AI-tools in onderzoek (Engels) behandelt dit uitgebreid, en AI-tools die Europese universiteiten hebben goedgekeurd (Engels) laat zien wat andere instellingen toestaan.

12. Wat moet de privacyverklaring over de grondslag zeggen?

De artikelen 13, lid 1, sub c en 14, lid 1, sub c eisen dat de verklaring de doeleinden en de grondslag vermeldt. Voor onderzoek betekent dat: de grondslag uit artikel 6 noemen, de uitzondering uit artikel 9 voor bijzondere persoonsgegevens, en het nationale recht waarop die berusten. De instructie van Trinity College Dublin is kort: informeer deelnemers over de grondslag "In advance of any data collection" (voordat er gegevens worden verzameld).

Onze gids over privacyverklaringen voor onderzoeksdeelnemers (Engels) bevat een gratis Word-sjabloon met deze formuleringen, en een Finse versie is beschikbaar als tietosuojaseloste-malli.

13. Beslistabel: welke grondslag in welke situatie?

Validemics analyse De tabel toont gangbare keuzes aan een publieke universiteit in de EU/EER. Het is een vertrekpunt voor een gesprek met de FG, geen regel. Het nationale recht en het specifieke project kunnen tot een ander antwoord leiden.

SituatieGangbare grondslag (art. 6)Uitzondering voor bijzondere persoonsgegevensAandachtspunten
Interviews of enquête met volwassenen, gewone persoonsgegevensArt. 6, lid 1, sub e (taak van algemeen belang)Niet nodigVraag ethische instemming met deelname; informatie op grond van art. 13; minimaliseer en pseudonimiseer.
Interviews of enquête met gegevens over gezondheid, etnische afkomst, religie of politieke opvattingenArt. 6, lid 1, sub eArt. 9, lid 2, sub j via nationaal recht, of art. 9, lid 2, sub a (uitdrukkelijke toestemming)Nederland: uitdrukkelijke toestemming tenzij onmogelijk of een onevenredige inspanning (art. 24 UAVG). Noorwegen: raadpleging van de FG of een DPIA. Zweden: ethische goedkeuring die de verwerking dekt.
Gezondheidsonderzoek in IerlandArt. 6, lid 1, sub eArt. 9, lid 2, sub a (uitdrukkelijke toestemming) als nationale eisControleer de nationale regels voor gezondheidsonderzoek en eventuele vrijstellingsroutes.
Klinische proefArt. 6, lid 1, sub e of f; sub c voor veiligheidsrapportagesArt. 9, lid 2, sub i of jGeïnformeerde toestemming onder de verordening klinische proeven is geen toestemming onder de AVG (EDPB Advies 3/2019).
Register- of administratieve gegevens, geen contact met personenArt. 6, lid 1, sub eArt. 9, lid 2, sub jArt. 14, lid 5, sub b kan van toepassing zijn, met openbare informatie; vergunningen en overeenkomsten voor het delen van gegevens nodig.
Biobank of cohort voor toekomstig onderzoekArt. 6, lid 1, sub e, of sub a (brede toestemming)Art. 9, lid 2, sub j of aBrede toestemming vraagt om afgebakende terreinen en extra waarborgen; Spanje en Portugal regelen haar in de wet.
Hergebruik van gegevens uit uw eigen eerdere projectDezelfde grondslag als eerder, als die het nieuwe gebruik dektControleer of de oorspronkelijke uitzondering nog pastVermoeden van art. 5, lid 1, sub b met waarborgen uit art. 89, lid 1; controleer de reikwijdte van de toestemming.
Openbare berichten op sociale mediaArt. 6, lid 1, sub e (sub f voor private organisaties)Art. 9, lid 2, sub e alleen als de persoon de gegevens kennelijk zelf openbaar heeft gemaakt; anders sub jControleer instellingen en platformvoorwaarden; informatie op grond van art. 14 of een vastgelegde uitzondering.
Onderzoek door een privaat instituut of bedrijfArt. 6, lid 1, sub f of aArt. 9, lid 2, sub j als het nationale recht private organisaties dekt, of sub aLeg de belangenafweging vast; taak van algemeen belang alleen als een wet de activiteit dekt.
Onderzoek naar de eigen studenten of medewerkers van de universiteitArt. 6, lid 1, sub eZoals hierbovenDoor de ongelijke verhouding is toestemming moeilijk bruikbaar; Sikt noemt leerlingen en hun leraren als voorbeeld.

14. Wat verandert er? Lopende ontwikkelingen in de EU en de lidstaten

15. Checklist: de grondslag kiezen en vastleggen

Voor het bredere beeld van de AVG in onderwijs, onderzoek en bedrijfsvoering, zie onze gids De AVG in het hoger onderwijs en de pagina De AVG uitgelegd.

Bronnen

Alle bronnen geraadpleegd op 9 oktober 2026.

  1. Verordening (EU) 2016/679 (AVG), tekst in het Publicatieblad, artikelen 5, 6, 9, 13, 14, 17, 21 en 89 en overwegingen 33, 50, 156, 157 en 159 (gelezen via het Publicatiebureau van de EU).
  2. Europees Comité voor gegevensbescherming (EDPB), Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679, versie 1.1, paragraaf 7.2, randnummers 153 tot en met 165.
  3. EDPB, Guidelines 1/2026 on processing of personal data for scientific research purposes, vastgesteld op 15 april 2026, versie voor openbare raadpleging, en de consultatiepagina.
  4. EDPB, Document on response to the request from the European Commission for clarifications on the consistent application of the GDPR, focusing on health research, 2 februari 2021.
  5. EDPB, Opinion 3/2019 on the interplay between the Clinical Trials Regulation and the GDPR, 23 januari 2019.
  6. EDPB, nieuwsoverzicht (gecontroleerd op definitieve vaststelling van Richtsnoeren 1/2026) en agenda van de plenaire vergadering van 17 september 2026.
  7. Europese Toezichthouder voor gegevensbescherming (EDPS), A Preliminary Opinion on data protection and scientific research, 6 januari 2020.
  8. Europese Commissie (panel van deskundigen), Ethics and data protection, 5 juli 2021.
  9. Legislative Observatory van het Europees Parlement, procedure 2025/0360(COD), digitale omnibus.
  10. Verordening (EU) 2025/327 betreffende de Europese ruimte voor gezondheidsgegevens, slotbepalingen over de data van toepassing.
  11. Zweden: Högskolelag (1992:1434), Lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning en Lag (2003:460) om etikprövning av forskning som avser människor, riksdagen.se.
  12. Noorwegen: Personopplysningsloven (LOV-2018-06-15-38), artikelen 8 tot en met 10, lovdata.no.
  13. Finland: Tietosuojalaki (1050/2018), geconsolideerde versie inclusief wijziging 380/2026, finlex.fi.
  14. Denemarken: Databeskyttelsesloven, LBK nr. 289 af 08/03/2024, retsinformation.dk.
  15. Nederland: Uitvoeringswet Algemene verordening gegevensbescherming, artikelen 24 en 44, wetten.overheid.nl.
  16. Frankrijk: CNIL, Recherche scientifique (hors santé) : quelle base légale pour un traitement de recherche ? (6 januari 2022) en Traitements de données à des fins de recherche scientifique (hors santé) : quand saisir la CNIL ? (4 februari 2026).
  17. Spanje: Ley Orgánica 3/2018 (LOPDGDD), disposición adicional decimoséptima, boe.es.
  18. Portugal: Lei n.º 58/2019, de 8 de agosto, artikel 31, geconsolideerde tekst op pgdlisboa.pt.
  19. UK Health Research Authority, Legal basis for processing data.
  20. Sikt, Legal bases for personal data processing in research.
  21. Universiteit van Bergen, General principles for processing personal data in research.
  22. Stockholm University, Personuppgiftsbehandling vid Stockholms universitet.
  23. Lund University, Template B: information on processing of personal data in research (Word, april 2026).
  24. Universiteit van Helsinki, RDM Advanced webinar series FAQ en privacyverklaring van het project Emplacing Heritage.
  25. Aarhus University, Personal data in research at Aarhus University when we are the data controller en onderzoeksprojecten met vrijstelling van de informatieplicht.
  26. Universiteit Utrecht, faculteit Sociale Wetenschappen, Dealing with Consent in Scientific Research, 3 februari 2025.
  27. KU Leuven / UZ Leuven, Onderzoek met minderjarigen: enkele cases.
  28. Trinity College Dublin, Legal Basis for Research.
  29. University of Edinburgh, Research and Data Protection Legislation (richtlijn voor onderzoekers) en Privacy notice for research participants.
  30. University of Essex, Data Protection and research activity.
  31. Universidad de Granada, Secretaría General, Producción investigadora (verwerkingsactiviteit in het register).

Over deze pagina

Bronnen geraadpleegd op 9 oktober 2026. We hebben de AVG gelezen in de versie van het Publicatieblad, de hierboven genoemde documenten van de EDPB, de EDPS en de Commissie, de nationale wetten op hun officiële of geconsolideerde publicatiesites, en elke universiteitspagina die we citeren. Citaten zijn kort en overgenomen zoals ze op de controledatum waren gepubliceerd. Citaten uit de AVG komen uit de officiële Nederlandse tekst. Citaten uit bronnen in andere talen staan in de oorspronkelijke taal, met een Nederlandse vertaling tussen haakjes; die vertaling is van ons. Onze eigen interpretatie staat gemarkeerd als Validemics analyse. De onderzoeksrichtsnoeren van de EDPB zijn een consultatieversie en de digitale omnibus is een voorstel; we werken deze pagina bij als een van beide verandert. Deze pagina bevat algemene informatie en is geen juridisch advies. Nationaal recht, sectorregels en het eigen beleid van uw instelling kunnen eisen toevoegen, dus stem de grondslag voor elk project af met uw functionaris gegevensbescherming. Ziet u een fout of een verouderd punt? Neem contact met ons op, dan corrigeren we het.

Veelgestelde vragen

Is toestemming de grondslag als deelnemers een toestemmingsformulier ondertekenen?

Niet automatisch. De EDPB stelt dat toestemming die wordt vereist door onderzoeksethiek of de verordening klinische proeven moet worden onderscheiden van toestemming als grondslag onder de AVG. Veel publieke universiteiten verwerken onderzoeksgegevens op grond van een taak van algemeen belang (artikel 6, lid 1, sub e) en zien het ondertekende formulier als ethische waarborg. De privacyverklaring moet vermelden welke grondslag werkelijk wordt gebruikt.

Wat is de meest gebruikte grondslag voor onderzoek aan publieke universiteiten?

In de Noordse landen, Nederland, België, Ierland, het Verenigd Koninkrijk en Spanje gebruiken veel publieke universiteiten de taak van algemeen belang, artikel 6, lid 1, sub e, op basis van de wet die hun een onderzoekstaak geeft. Toestemming wordt nog steeds gebruikt, bijvoorbeeld bij sommige studies met bijzondere persoonsgegevens of waar het nationale recht dat eist. Elke verwerkingsverantwoordelijke moet per project beslissen en de keuze vastleggen.

Wat is artikel 9, lid 2, sub j AVG?

Het is de uitzondering die verwerking van bijzondere persoonsgegevens, zoals gezondheid of etnische afkomst, toestaat wanneer dat noodzakelijk is voor wetenschappelijk onderzoek overeenkomstig artikel 89, lid 1. De uitzondering werkt alleen samen met Unierecht of lidstatelijk recht dat evenredig is en passende waarborgen biedt. Voorbeelden zijn artikel 10 van de Deense databeskyttelseslov, artikel 6 van de Finse tietosuojalaki en artikel 24 van de Nederlandse UAVG.

Welke waarborgen eist artikel 89, lid 1, AVG voor onderzoek?

Passende technische en organisatorische maatregelen, in het bijzonder om het beginsel van minimale gegevensverwerking na te leven. Pseudonimisering wordt genoemd als mogelijke maatregel, en als het onderzoek kan worden gedaan met gegevens die mensen niet langer identificeren, moet het op die manier. In de praktijk betekent dit een datamanagementplan, apart bewaarde pseudonimiseringssleutels, toegangsbeheer, veilige opslag en beperkingen bij publicatie.

Mogen onderzoekers persoonsgegevens uit een eerder project hergebruiken?

Vaak wel. Volgens artikel 5, lid 1, sub b wordt verdere verwerking voor wetenschappelijk onderzoek niet als onverenigbaar met het oorspronkelijke doel beschouwd, mits de waarborgen van artikel 89, lid 1, aanwezig zijn. De verwerkingsverantwoordelijke moet nog steeds een geldige grondslag vaststellen en, voor bijzondere persoonsgegevens, een uitzondering uit artikel 9. Was de oorspronkelijke grondslag toestemming, ga dan na of die toestemming het nieuwe gebruik dekt.

Kan een deelnemer zich terugtrekken uit een studie die op een taak van algemeen belang berust?

Een deelnemer kan stoppen met deelname, en ethische regels eisen dat meestal. Onder de AVG geldt het recht van bezwaar bij verwerking op grond van een taak van algemeen belang, maar artikel 21, lid 6, laat de verwerkingsverantwoordelijke weigeren als de verwerking noodzakelijk is voor de uitvoering van een taak van algemeen belang. Bij toestemming moeten de gegevens na intrekking in beginsel worden gewist als het onderzoek wordt voortgezet.

Heeft de EDPB definitieve richtsnoeren over wetenschappelijk onderzoek vastgesteld?

Op 9 oktober 2026 nog niet. De EDPB heeft op 15 april 2026 Richtsnoeren 1/2026 over de verwerking van persoonsgegevens voor wetenschappelijke onderzoeksdoeleinden vastgesteld als versie voor openbare raadpleging. De raadpleging sloot op 25 juni 2026. Op de controledatum vonden we geen definitieve versie op de website van de EDPB, dus de tekst kan nog veranderen.

Mogen onderzoekers openbare berichten op sociale media gebruiken zonder toestemming?

Soms, maar openbaar is niet hetzelfde als vrij te gebruiken. Er is nog steeds een grondslag nodig, en bijzondere persoonsgegevens in berichten vallen alleen onder artikel 9, lid 2, sub e als de persoon er duidelijk voor koos ze openbaar te maken. De onderzoeker moet mensen meestal informeren op grond van artikel 14 of vastleggen waarom een uitzondering geldt, en de voorwaarden van het platform controleren.

Verder lezen